Chứng chỉ SSL là gì?
Chứng chỉ SSL là một chứng chỉ kỹ thuật số xác thực danh tính của trang web và cho phép kết nối được mã hóa. SSL là viết tắt của Secure Sockets Layer, một giao thức bảo mật tạo ra đường liên kết được mã hóa giữa máy chủ web và trình duyệt web.
Các công ty và tổ chức cần thêm chứng chỉ SSL vào trang web của mình để bảo mật các giao dịch trực tuyến và bảo vệ thông tin khách hàng riêng tư và an toàn.
Tóm lại: SSL giúp bảo mật kết nối internet và ngăn chặn tội phạm đọc hoặc sửa đổi thông tin được truyền giữa hai hệ thống. Khi bạn thấy biểu tượng ổ khóa bên cạnh URL trên thanh địa chỉ, điều đó có nghĩa là SSL bảo vệ trang web bạn đang truy cập.
Kể từ khi ra mắt cách đây khoảng 25 năm, đã có một số phiên bản giao thức SSL, tất cả đều gặp phải sự cố bảo mật tại một thời điểm nào đó. Sau đó là một phiên bản được cải tiến và đổi tên – TLS (Bảo mật lớp truyền tải), vẫn được sử dụng cho đến ngày nay. Tuy nhiên, chữ viết tắt SSL vẫn được giữ nguyên, do đó phiên bản mới của giao thức này vẫn thường được gọi bằng tên cũ.
Chứng chỉ SSL hoạt động như thế nào?
SSL hoạt động bằng cách đảm bảo rằng bất kỳ dữ liệu nào được truyền giữa người dùng và trang web hoặc giữa hai hệ thống đều không thể đọc được. Nó sử dụng các thuật toán mã hóa để xáo trộn dữ liệu trong quá trình truyền tải, ngăn chặn tin tặc đọc được dữ liệu khi nó được gửi qua kết nối. Dữ liệu này có thể bao gồm thông tin nhạy cảm như tên, địa chỉ, số thẻ tín dụng hoặc các thông tin tài chính khác.
Quá trình này hoạt động như sau:
- Một trình duyệt hoặc máy chủ cố gắng kết nối đến một trang web (tức là máy chủ web) được bảo mật bằng SSL.
- Trình duyệt hoặc máy chủ yêu cầu máy chủ web xác định danh tính của chính nó.
- Máy chủ web phản hồi bằng cách gửi một bản sao chứng chỉ SSL tới trình duyệt hoặc máy chủ.
- Trình duyệt hoặc máy chủ sẽ kiểm tra xem liệu có tin cậy chứng chỉ SSL hay không. Nếu có, nó sẽ báo hiệu điều này tới máy chủ web.
- Khi đó, máy chủ web trả về một xác nhận được ký số để bắt đầu phiên được mã hóa SSL.
- Dữ liệu được mã hóa sẽ được chia sẻ giữa trình duyệt hoặc máy chủ và máy chủ web.
Quá trình này đôi khi được gọi là "bắt tay SSL". Mặc dù nghe có vẻ là một quá trình dài, nó chỉ diễn ra trong vài mili giây.
Khi một trang web được bảo mật bằng chứng chỉ SSL, từ viết tắt HTTPS (viết tắt của HyperText Transfer Protocol Secure) sẽ xuất hiện trên URL. Nếu không có chứng chỉ SSL, chỉ có các chữ cái HTTP – tức là không có chữ S viết tắt của Secure – sẽ xuất hiện. Biểu tượng ổ khóa cũng sẽ hiển thị trên thanh địa chỉ URL. Điều này báo hiệu sự tin tưởng và mang lại sự an tâm cho những người truy cập trang web.
Để xem chi tiết về chứng chỉ SSL, bạn có thể nhấn vào biểu tượng ổ khóa nằm trong thanh trình duyệt. Các chi tiết thường có trong chứng chỉ SSL bao gồm:
- Tên miền mà chứng chỉ được cấp cho
- Người, tổ chức hoặc thiết bị nào mà chứng chỉ được cấp cho
- Cơ quan cấp chứng chỉ nào đã cấp nó
- Chữ ký số của Cơ quan cấp chứng chỉ
- Các tên miền phụ liên quan
- Ngày cấp chứng chỉ
- Ngày hết hạn của chứng chỉ
- Khóa công khai (khóa riêng tư không được tiết lộ)
Tại sao bạn cần chứng chỉ SSL
Các trang web cần chứng chỉ SSL để bảo mật dữ liệu của người dùng, xác minh quyền sở hữu trang web, ngăn chặn kẻ tấn công tạo phiên bản trang web giả mạo và tạo dựng lòng tin cho người dùng.
Nếu một trang web yêu cầu người dùng đăng nhập, nhập các chi tiết cá nhân như số thẻ tín dụng hoặc xem thông tin bí mật như quyền lợi sức khỏe hoặc thông tin tài chính, thì việc giữ bí mật dữ liệu là điều cần thiết. Chứng chỉ SSL giúp bảo vệ riêng tư các tương tác trực tuyến và đảm bảo với người dùng rằng trang web là xác thực và an toàn để chia sẻ thông tin riêng tư.
Liên quan nhiều hơn đến các doanh nghiệp là việc bắt buộc phải có chứng chỉ SSL đối với địa chỉ web HTTPS. HTTPS là hình thức bảo mật của HTTP, nghĩa là các trang web HTTPS có lưu lượng truy cập được mã hóa bằng SSL. Hầu hết các trình duyệt đều gắn thẻ các trang web HTTP – những trang web không có chứng chỉ SSL – là "không an toàn". Điều này gửi tín hiệu rõ ràng tới người dùng rằng trang web có thể không đáng tin cậy – khuyến khích các doanh nghiệp chưa làm như vậy chuyển sang HTTPS.
Chứng chỉ SSL giúp bảo mật thông tin chẳng hạn như:
- Thông tin đăng nhập
- Giao dịch thẻ tín dụng hoặc thông tin tài khoản ngân hàng
- Thông tin nhận dạng cá nhân – chẳng hạn như họ tên đầy đủ, địa chỉ, ngày sinh hoặc số điện thoại
- Văn bản pháp lý và hợp đồng
- Hồ sơ y tế
- Thông tin độc quyền
Các loại chứng chỉ SSL
Có nhiều loại chứng chỉ SSL với mức độ xác thực khác nhau. Sáu loại chính là:
- Chứng chỉ xác thực mở rộng (EV SSL)
- Chứng chỉ xác thực của tổ chức (OV SSL)
- Chứng chỉ xác thực miền (DV SSL)
- Chứng chỉ SSL ký tự đại diện
- Chứng chỉ SSL đa miền (MDC)
- Chứng chỉ truyền thông hợp nhất (UCC)
Chứng chỉ xác thực mở rộng (EV SSL)
Đây là loại chứng chỉ SSL có thứ hạng cao nhất và đắt nhất. Nó có xu hướng được sử dụng cho các trang web có uy tín thu thập dữ liệu và liên quan đến thanh toán trực tuyến. Khi được cài đặt, chứng chỉ SSL này hiển thị biểu tượng ổ khóa, HTTPS, tên doanh nghiệp và quốc gia trên thanh địa chỉ của trình duyệt. Việc hiển thị thông tin của chủ sở hữu trang web trên thanh địa chỉ giúp phân biệt trang web đó với các trang web độc hại. Để thiết lập chứng chỉ EV SSL, chủ sở hữu trang web phải trải qua quy trình xác minh danh tính chuẩn hóa để xác nhận họ được ủy quyền hợp pháp đối với các quyền độc quyền đối với tên miền.
Chứng chỉ xác thực của tổ chức (OV SSL)
Phiên bản chứng chỉ SSL này có mức độ bảo đảm tương tự như chứng chỉ EV SSL vì để có được chứng chỉ này, chủ sở hữu trang web cần hoàn tất một quy trình xác thực quan trọng. Loại chứng chỉ này cũng hiển thị thông tin của chủ sở hữu trang web trên thanh địa chỉ để phân biệt với các trang web độc hại. Chứng chỉ OV SSL có xu hướng đắt thứ hai (sau EV SSL) và mục đích chính của chúng là mã hóa thông tin nhạy cảm của người dùng trong các giao dịch. Các trang web thương mại hoặc công cộng phải cài đặt chứng chỉ OV SSL để đảm bảo mọi thông tin khách hàng chia sẻ đều được giữ bí mật.
Chứng chỉ xác thực miền (DV SSL)
Quy trình xác thực để có được loại chứng chỉ SSL này là tối thiểu và do đó, chứng chỉ SSL xác thực miền cung cấp mức độ đảm bảo thấp hơn và mã hóa tối thiểu. Chúng có xu hướng được sử dụng cho các blog hoặc trang web thông tin – tức là những trang web không liên quan đến việc thu thập dữ liệu hoặc thanh toán trực tuyến. Loại chứng chỉ SSL này là một trong những loại chứng chỉ rẻ nhất và nhanh có được nhất. Quy trình xác thực chỉ yêu cầu chủ sở hữu trang web chứng minh quyền sở hữu miền bằng cách trả lời email hoặc cuộc gọi điện thoại. Thanh địa chỉ của trình duyệt chỉ hiển thị HTTPS và biểu tượng ổ khóa mà không hiển thị tên doanh nghiệp.
Chứng chỉ SSL ký tự đại diện
Chứng chỉ SSL ký tự đại diện cho phép bạn bảo mật một tên miền cơ sở và các miền phụ không giới hạn trên một chứng chỉ duy nhất. Nếu bạn có nhiều miền phụ cần bảo mật thì việc mua chứng chỉ SSL ký tự đại diện sẽ rẻ hơn nhiều so với việc mua từng chứng chỉ SSL riêng lẻ cho mỗi miền phụ. Chứng chỉ SSL ký tự đại diện có dấu hoa thị * là một phần của tên chung, trong đó dấu hoa thị biểu thị bất kỳ miền phụ hợp lệ nào có cùng miền cơ sở. Ví dụ như một chứng chỉ ký tự đại diện duy nhất cho *trang web có thể được dùng để bảo mật:
- payments.yourdomain.com
- login.yourdomain.com
- mail.yourdomain.com
- download.yourdomain.com
- anything.yourdomain.com
Chứng chỉ SSL đa miền (MDC)
Chứng chỉ đa miền có thể được dùng để bảo mật nhiều miền và/hoặc các tên miền phụ. Điều này bao gồm sự kết hợp của các miền hoàn toàn độc nhất và các miền phụ với các TLD (Miền cấp cao nhất) khác nhau, ngoại trừ miền cục bộ/nội bộ.
Ví dụ:
- www.example.com
- example.org
- mail.this-domain.net
- example.anything.com.au
- checkout.example.com
- secure.example.org
Theo mặc định, chứng chỉ đa miền không hỗ trợ miền phụ. Nếu bạn cần bảo mật cả www.example.com và example.com bằng một chứng chỉ đa miền, thì cả hai tên máy chủ đều phải được xác định khi lấy chứng chỉ.
Chứng chỉ truyền thông hợp nhất (UCC)
Chứng chỉ truyền thông hợp nhất (UCC) cũng được coi là chứng chỉ SSL đa miền. UCC ban đầu được thiết kế để bảo mật các máy chủ Microsoft Exchange và Live Communications. Ngày nay, bất kỳ chủ sở hữu trang web nào cũng có thể sử dụng các chứng chỉ này để cho phép bảo mật nhiều tên miền trên một chứng chỉ duy nhất. Chứng chỉ UCC được xác thực về mặt tổ chức và hiển thị một ổ khóa trên trình duyệt. UCC có thể được dùng làm chứng chỉ EV SSL để cung cấp cho khách truy cập trang web sự đảm bảo cao nhất thông qua thanh địa chỉ màu xanh lá cây.
Điều cần thiết là phải làm quen với các loại chứng chỉ SSL khác nhau để chọn loại chứng chỉ phù hợp cho trang web của bạn.
Cách lấy chứng chỉ SSL
Có thể lấy chứng chỉ SSL trực tiếp từ Cơ quan cấp chứng chỉ (CA). Cơ quan cấp chứng chỉ – đôi khi còn được gọi là Cơ quan chứng nhận – cấp hàng triệu chứng chỉ SSL mỗi năm. Chúng đóng vai trò quan trọng trong cách thức hoạt động của internet và cách các tương tác minh bạch, đáng tin cậy có thể diễn ra trực tuyến.
Chi phí cho một chứng chỉ SSL có thể dao động từ miễn phí đến hàng trăm đô la, tùy thuộc vào mức độ bảo mật mà bạn yêu cầu. Một khi đã quyết định loại chứng chỉ mình cần, bạn có thể tìm kiếm Nhà phát hành chứng chỉ, cung cấp SSL ở cấp độ mà bạn yêu cầu.
Để có được SSL, bạn cần thực hiện các bước sau:
- Chuẩn bị bằng cách thiết lập máy chủ và đảm bảo hồ sơ WHOIS của bạn được cập nhật và khớp với thông tin bạn gửi cho Cơ quan cấp chứng chỉ (thông tin này cần hiện đúng tên công ty và địa chỉ, v.v.)
- Tạo Yêu cầu ký chứng chỉ (CSR) trên máy chủ của bạn. Đây là hành động mà công ty lưu trữ của bạn có thể hỗ trợ.
- Gửi thông tin này đến Cơ quan cấp chứng chỉ để xác thực miền và chi tiết về công ty của bạn
- Cài đặt chứng chỉ mà họ cung cấp sau khi quy trình hoàn tất.
Khi đã có được chứng chỉ, bạn cần cấu hình nó trên máy chủ lưu trữ web hoặc trên máy chủ của riêng bạn nếu bạn tự lưu trữ trang web.
Thời gian bạn nhận được chứng chỉ nhanh hay chậm phụ thuộc vào loại chứng chỉ bạn nhận được và nhà cung cấp chứng chỉ mà bạn mua từ đó. Mỗi cấp độ xác thực sẽ mất khoảng thời gian để hoàn thành khác nhau. Một chứng chỉ SSL xác thực miền đơn giản có thể được cấp trong vòng vài phút sau khi đặt hàng, trong khi chứng chỉ xác thực mở rộng có thể mất tới cả tuần.
Có thể sử dụng một chứng chỉ SSL trên nhiều máy chủ không?
Có thể sử dụng một chứng chỉ SSL cho nhiều miền trên cùng một máy chủ. Tùy thuộc vào nhà cung cấp, bạn cũng có thể sử dụng một chứng chỉ SSL trên nhiều máy chủ. Đó là vì chứng chỉ SSL đa miền mà chúng tôi đã thảo luận ở trên.
Như tên gọi ngụ ý, chứng chỉ SSL đa miền hoạt động với nhiều miền. Số lượng tùy thuộc vào Cơ quan cấp chứng chỉ cụ thể. Chứng chỉ SSL đa miền khác với chứng chỉ SSL đơn miền, vốn – lại như tên gọi của nó – được thiết kế để bảo mật cho một miền duy nhất.
Bạn có thể nghe nói đến chứng chỉ SSL đa miền, còn gọi là chứng chỉ SAN gây nhầm lẫn. SAN là viết tắt của Subject Alternative Name (Tên thay thế chủ thể). Mỗi chứng chỉ đa miền đều có các trường bổ sung (nghĩa là SAN) mà bạn có thể sử dụng để liệt kê các miền bổ sung mà bạn muốn bảo vệ dưới một chứng chỉ.
Chứng chỉ truyền thông hợp nhất (UCC) và chứng chỉ SSL ký tự đại diện cũng cho phép sử dụng nhiều miền và trong trường hợp sau, cho phép số lượng miền phụ không giới hạn.
Điều gì xảy ra khi chứng chỉ SSL hết hạn?
Chứng chỉ SSL có hết hạn; chúng không tồn tại mãi mãi. Cơ quan cấp chứng chỉ/Diễn đàn trình duyệt, đóng vai trò là cơ quan quản lý thực tế cho ngành SSL, tuyên bố rằng chứng chỉ SSL nên có tuổi thọ không quá 27 tháng. Về cơ bản, điều này có nghĩa là bạn có thể thực hiện hai năm cộng với tối đa ba tháng nếu bạn gia hạn trong thời gian còn lại trên chứng chỉ SSL trước đó của bạn.
Chứng chỉ SSL hết hạn vì giống như bất kỳ hình thức xác thực nào, thông tin cần được xác thực lại định kỳ để kiểm tra xem nó có còn chính xác hay không. Mọi thứ thay đổi trên internet khi các công ty và cả trang web được mua và bán. Khi đổi chủ, thông tin liên quan đến chứng chỉ SSL cũng thay đổi. Mục đích của thời hạn hết hạn là để đảm bảo rằng thông tin dùng để xác thực các máy chủ và tổ chức được cập nhật và chính xác nhất có thể.
Trước đây, chứng chỉ SSL có thể được cấp trong thời hạn tối đa năm năm, sau đó giảm xuống còn ba năm và gần đây nhất là hai năm cộng thêm khả năng ba tháng nữa. Năm 2020, Google, Apple và Mozilla công bố họ sẽ áp dụng chứng chỉ SSL có thời hạn một năm, mặc dù đề xuất này đã bị Diễn đàn trình duyệt Cơ quan cấp chứng chỉ bác bỏ. Việc này có hiệu lực từ tháng 9 năm 2020. Khả năng trong tương lai, thời hạn hiệu lực sẽ vẫn giảm thêm.
Khi chứng chỉ SSL hết hạn, nó khiến trang web được đề cập không thể truy cập được nữa. Khi trình duyệt của một người dùng truy cập vào một trang web, nó sẽ kiểm tra tính hợp lệ của chứng chỉ SSL trong vòng vài mili giây (như một phần của quá trình bắt tay SSL). Nếu chứng chỉ SSL đã hết hạn, khách truy cập sẽ nhận được thông báo có nội dung – "Trang web này không an toàn. Rủi ro tiềm ẩn ở phía trước".
Mặc dù người dùng có tùy chọn tiếp tục, nhưng không nên làm vậy vì điều đó có thể gây rủi ro về bảo mật mạng, bao gồm khả năng bị nhiễm phần mềm độc hại. Điều này sẽ ảnh hưởng đáng kể đến tỷ lệ thoát trang của chủ sở hữu trang web vì người dùng nhanh chóng thoát khỏi trang chủ và đi nơi khác.
Việc theo dõi thời điểm hết hạn của chứng chỉ SSL là một thách thức đối với các doanh nghiệp lớn. Trong khi các doanh nghiệp vừa và nhỏ (SME) có thể chỉ quản lý một hoặc vài chứng chỉ, các tổ chức cấp doanh nghiệp có khả năng giao dịch trên nhiều thị trường – với nhiều trang web và mạng – sẽ có nhiều chứng chỉ hơn nữa. Ở cấp độ này, việc để chứng chỉ SSL hết hạn thường là do sự giám sát chứ không phải do thiếu năng lực. Cách tốt nhất để các doanh nghiệp lớn theo dõi thời điểm chứng chỉ SSL của họ hết hạn là sử dụng một nền tảng quản lý chứng chỉ. Bạn có thể sử dụng công cụ tìm kiếm trực tuyến để tìm nhiều sản phẩm khác nhau trên thị trường. Chúng cho phép các doanh nghiệp xem và quản lý chứng chỉ số trên toàn bộ cơ sở hạ tầng của họ. Nếu bạn sử dụng một trong những nền tảng này, điều quan trọng là đăng nhập thường xuyên để bạn có thể biết khi nào đến hạn cần gia hạn.
Nếu bạn để chứng chỉ hết hạn, chứng chỉ trở thành không hợp lệ và bạn sẽ không thể thực hiện các giao dịch an toàn trên trang web của bạn nữa. Cơ quan chứng nhận (CA) sẽ nhắc bạn gia hạn chứng chỉ SSL trước ngày hết hạn.
Dù bạn sử dụng Cơ quan cấp chứng chỉ hoặc dịch vụ SSL nào để lấy chứng chỉ SSL, thì họ đều sẽ gửi thông báo hết hạn cho bạn vào các khoảng thời gian đã đặt, thường bắt đầu sau 90 ngày. Cố gắng đảm bảo rằng những lời nhắc này được gửi đến một danh sách phân phối email – thay vì chỉ gửi đến một cá nhân đơn lẻ mà người này có thể đã rời khỏi công ty hoặc chuyển sang một vai trò khác vào thời điểm gửi lời nhắc. Hãy suy nghĩ về các bên liên quan trong công ty của bạn có tên trong danh sách phân phối này để đảm bảo đúng người nhìn thấy lời nhắc vào đúng thời điểm.
Làm thế nào để biết một trang web có chứng chỉ SSL hay không
Cách dễ nhất để xem một trang web có chứng chỉ SSL hay không là nhìn vào thanh địa chỉ trên trình duyệt của bạn:
- Nếu URL bắt đầu bằng HTTPS thay vì HTTP, điều đó có nghĩa là trang web được bảo mật bằng chứng chỉ SSL.
- Các trang web an toàn sẽ hiện một biểu tượng ổ khóa đóng, bạn có thể nhấn vào đó để xem chi tiết bảo mật – các trang web đáng tin cậy nhất sẽ có ổ khóa hoặc thanh địa chỉ màu xanh lá cây.
- Trình duyệt cũng hiện các dấu hiệu cảnh báo khi một kết nối không an toàn – chẳng hạn như ổ khóa màu đỏ, ổ khóa chưa đóng, một đường thẳng chạy qua địa chỉ trang web hoặc một hình tam giác cảnh báo ở trên biểu tượng ổ khóa.
Cách đảm bảo phiên trực tuyến của bạn an toàn
Chỉ gửi dữ liệu cá nhân và chi tiết thanh toán trực tuyến của bạn tới các trang web có chứng chỉ EV hoặc OV. Chứng chỉ DV không phù hợp cho các trang web thương mại điện tử. Bạn có thể biết một trang web có chứng chỉ EV hay OV bằng cách nhìn vào thanh địa chỉ. Đối với EV SSL, tên của tổ chức sẽ hiển thị trên chính thanh địa chỉ. Đối với OV SSL, bạn có thể xem chi tiết tên của tổ chức bằng cách nhấn vào biểu tượng ổ khóa. Đối với DV SSL, chỉ có biểu tượng ổ khóa hiển thị.
Đọc chính sách về quyền riêng tư của trang web. Điều này cho phép bạn xem dữ liệu của bạn sẽ được sử dụng như thế nào. Các công ty hợp pháp sẽ minh bạch về cách họ thu thập dữ liệu của bạn và những gì họ làm với dữ liệu đó.
Chú ý đến các tín hiệu hoặc chỉ số tin cậy trên các trang web. Cũng như các chứng chỉ SSL, chúng bao gồm các logo hoặc huy hiệu uy tín cho thấy trang web đáp ứng các tiêu chuẩn bảo mật cụ thể. Những dấu hiệu khác có thể giúp bạn xác định một trang web là thật hay không bao gồm kiểm tra địa chỉ thực và số điện thoại, kiểm tra chính sách trả hàng hoặc hoàn tiền và đảm bảo giá cả hợp lý và không quá tốt để trở thành sự thật.
Cảnh giác với trò lừa đảo giả mạo. Đôi khi, kẻ tấn công mạng tạo ra các trang web mô phỏng các trang web hiện có để lừa mọi người mua hàng hoặc đăng nhập vào trang web giả mạo của chúng. Một trang web giả mạo có thể lấy được chứng chỉ SSL và do đó mã hóa toàn bộ lưu lượng truyền giữa bạn và trang web đó. Tỷ lệ giả mạo qua mạng xảy ra trên các trang web HTTPS ngày càng tăng – đánh lừa người dùng cảm thấy an tâm khi có biểu tượng ổ khóa.
Để tránh các loại tấn công này:
- Luôn kiểm tra miền của trang web mà bạn đang truy cập và đảm bảo rằng nó được viết đúng chính tả. URL của một trang web giả mạo có thể chỉ khác một ký tự – ví dụ như amaz0n.com thay vì amazon.com. Nếu có thắc mắc, hãy nhập miền trực tiếp vào trình duyệt để đảm bảo bạn đang kết nối đến trang web bạn định truy cập.
- Không bao giờ nhập thông tin đăng nhập, mật khẩu, thông tin đăng nhập ngân hàng hoặc bất kỳ thông tin cá nhân nào khác trên trang web trừ khi bạn chắc chắn về tính xác thực của nó.
- Luôn xem xét trang web cụ thể đó cung cấp những gì, trông nó có đáng ngờ không và liệu bạn có thực sự cần đăng ký trên trang đó không.
Rủi ro bảo mật mạng tiếp tục phát triển nhưng việc hiểu các loại chứng chỉ SSL cần lưu ý và cách phân biệt một trang web an toàn với trang web có khả năng nguy hiểm sẽ giúp người dùng internet tránh bị lừa đảo và bảo vệ dữ liệu cá nhân của họ khỏi tội phạm mạng.
Sản phẩm được khuyến cáo:
